4.600 mensen die in het verleden bij het Nederlandse Rode Kruis hebben aangeklopt voor hulp, zijn de dupe geworden van de cyberaanval die vorige week plaatsvond. Hackers hebben allerlei persoonlijke gegevens van deze groep buitgemaakt. Donateurs hoeven zich geen zorgen te maken, hun gegevens zijn niet gestolen.
Dat schrijft het Rode Kruis in een updatebericht over de cyberaanval.
ICRC doelwit van cyberaanval
Afgelopen week maakte het Internationale Comité van het Rode Kruis (ICRC) bekend dat het hoofdkantoor in Genève het doelwit was van een cyberaanval. Hackers slaagden erin om de servers te infiltreren van een bedrijf dat data namens de hulporganisatie verwerkt. Zodoende hadden de aanvallers toegang tot persoonlijke en privacygevoelige gegevens van meer dan een half miljoen vluchtelingen en ‘extreem kwetsbare mensen’. Verder zijn de inloggegevens van zo’n 2.000 medewerkers en vrijwilligers gestolen.
De informatie op de getroffen servers was afkomstig van ten minste 60 Rode Kruis verenigingen wereldwijd. Daarop stonden gegevens van mensen die een beroep hadden gedaan op het programma ‘Restoring Family Links’. Via dit hulpprogramma probeert het Rode Kruis familieleden met elkaar te herenigen die door oorlog of natuurramp van elkaar zijn gescheiden. Door de cyberaanval besloot het Rode Kruis om het systeem achter het hulpverleningsprogramma tijdelijk stil te leggen.
Gegevens van 4.600 Nederlanders buitgemaakt
Na de aanval kreeg het Rode Kruis de vraag voorgeschoteld of er ook gegevens van Nederlanders waren buitgemaakt. De hulporganisatie kon deze vraag niet direct beantwoorden. Inmiddels zijn we bijna een week verder en kunnen beveiligingsexperts meer duidelijkheid scheppen over het voorval. Uit onderzoek blijkt dat de gegevens van zeker 4.600 Nederlanders is gekopieerd door de daders. Het gaat in ieder geval om namen, geboortedata, land van herkomst en de namen van ouders.
Geluk bij een ongeluk is dat alleen de gegevens van mensen die gebruikmaken van Restoring Family Links zijn bemachtigd. Donateurs hoeven niet te vrezen dat cybercriminelen met hun gegevens aan de haal gaan.
Het Nederlandse Rode Kruis laat tegenover NU.nl weten dat de Autoriteit Persoonsgegevens op de hoogte is gesteld van het datalek. De hulporganisatie zegt alle gedupeerden zo snel mogelijk te willen informeren over het incident.
ICRC: ‘Dit was een gerichte cyberaanval’
Het ICRC laat op haar website weten dat ze ervan overtuigd is dat de cyberaanval een gerichte aanval was op haar servers. De hulporganisatie zegt geen idee te hebben wie er achter de aanval zit. Tot op heden heeft het ICRC geen contact gehad met de aanvallers. Er zijn dan ook geen losgeldeisen kenbaar gemaakt. “In lijn met onze vaste gewoonte om in contact te treden met elke partij die ons humanitaire werk kan vergemakkelijken of belemmeren, zijn wij bereid rechtstreeks en vertrouwelijk contact op te nemen met de eventuele verantwoordelijken voor deze operatie om hen ervan te doordringen dat ons humanitair optreden moet worden geëerbiedigd”, aldus de ICRC.
De instantie zegt geen aanwijzingen te hebben dat de gestolen persoonsgegevens openbaar zijn gemaakt. Het ICRC zegt zich bewust te zijn geweest dat de organisatie vroeg of laat het doelwit zou kunnen worden van een cyberaanval. “Daarom hebben wij aanzienlijk geïnvesteerd in cyberbeveiliging en werken met betrouwbare partners om hoge normen voor gegevensbescherming en systemen te handhaven. Wij hebben ook geïnvesteerd in systemen die ons helpen verdachte activiteiten op te sporen. Zo zijn we deze cyberaanval op het spoor gekomen”, zegt de hulporganisatie in een persbericht.
Ieder jaar voert een onafhankelijk cybersecuritybedrijf een audit uit om de systemen van het ICRC te testen. “Deze aanval toont echter aan dat deze systemen niet immuun zijn voor zeer geavanceerde cyberaanvallen. Wij willen nogmaals benadrukken dat het van cruciaal belang is dat gegevens die voor humanitaire doeleinden worden verzameld en opgeslagen, niet het doelwit van aanvallen zijn.” Het ICRC zegt er alles aan te doen om de dienstverlening te herstellen.
Update (17 februari 2022): de oorzaak van de cyberaanval op het hoofdkwartier van het ICRC is bekend gemaakt door Robert Mardini. De hackers die verantwoordelijk zijn voor de aanval hebben misbruik gemaakt van een beveiligingslek in de authenticatiemodule Zoho ManageEngine ADSelfService Plus. Daarmee kunnen medewerkers zelf hun wachtwoord resetten die ze nodig hebben om toegang te krijgen tot de Active Directory en cloudapplicaties.
Zoho bracht begin september een patch uit voor het lek (CVE-2021-40539), maar deze beveiligingsupdate was nog niet geïnstalleerd. Daardoor wisten hackers in november vorig jaar de servers van het Rode Kruis te infiltreren. Het lek kwam echter pas op 18 januari van dit jaar aan het licht.
“Jaarlijks voeren wij tienduizenden patches uit op al onze systemen. Het tijdig toepassen van kritieke patches is essentieel voor onze cyberbeveiliging, maar helaas hebben wij deze patch niet op tijd toegepast voordat de aanval plaatsvond”, aldus Mardini. Hij zegt niet te weten wie de aanval heeft uitgevoerd. Er is dan ook nog geen contact geweest met de hackers. Als aanvullende beveiligingsmaatregel voert het Rode Kruis tweefactorauthenticatie in en gaat de organisatie werken met een geavanceerde Threat Detection Solution.
